Datenschutzerklärung

Allgemeines

Diese Datenschutzerklärung informiert Sie darüber, welche Personendaten die Pro Finance GmbH bearbeitet, wenn Sie unsere öffentliche Website besuchen, unser Kontaktformular nutzen oder als Kundin bzw. Kunde Zugang zu unserem Kundenportal erhalten.

Massgebend ist in erster Linie das Schweizer Bundesgesetz über den Datenschutz (revDSG), da die Pro Finance GmbH ein Schweizer Unternehmen mit Sitz in Emmenbrücke ist und ihre Kundinnen und Kunden hauptsächlich in der Schweiz betreut. Soweit unsere öffentliche Website auch von Personen in der EU/im EWR aufgerufen wird, beachten wir zusätzlich die einschlägigen Vorgaben der europäischen Datenschutz-Grundverordnung (DSGVO).

Wir bearbeiten Personendaten stets zweckgebunden, verhältnismässig und nur im Umfang, der für die jeweilige Dienstleistung erforderlich ist. Diese Erklärung beschreibt unsere tatsächliche technische Umsetzung so genau wie möglich; sie stellt keine Zusicherung einer bestimmten Zertifizierung oder einer lückenlosen Sicherheit dar, wie sie im Internet grundsätzlich nicht garantiert werden kann.

Kontaktdaten

Verantwortlich für die Datenbearbeitung im Sinne des Datenschutzrechts ist:

Pro Finance GmbH Fadenstrasse 20 6020 Emmenbrücke Schweiz

Vertreten durch: Dritan Gashi

Telefon: +41 79 953 07 06

E-Mail: d.gashi@pro-finance.ch, f.sabedini@pro-finance.ch, info@pro-finance.ch

Handelsregister-Nr.: CH-100.4.823.654-8

Für Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte gemäss Ziffer 10 wenden Sie sich bitte an eine der oben genannten Adressen.

Besuch der öffentlichen Website

Beim Aufruf unserer Website verarbeitet unser Hosting-Anbieter (siehe Ziffer 5) automatisch technische Zugriffsdaten, die Ihr Browser übermittelt (z. B. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, User-Agent). Dies dient der technischen Bereitstellung und Sicherheit der Website und wird nicht mit anderen Datenquellen zusammengeführt.

Wir setzen keine Analyse-, Marketing- oder Social-Media-Tracking-Tools ein. Es findet keine Erstellung von Nutzungsprofilen und keine Weitergabe von Besucherdaten an Werbenetzwerke statt.

Die Icons zu Facebook und Instagram im Footer sind einfache Verweise (Links), die zu den jeweiligen Profilen führen. Es werden dabei keine Inhalte von Meta-Servern eingebunden und keine Daten an Meta übermittelt, solange Sie nicht aktiv auf den Link klicken.

Auf der Kontaktseite verlinkt unsere Adresse zu Google Maps. Auch dies ist ein einfacher, ausgehender Link, der in einem neuen Tab öffnet — es ist keine Landkarte in unsere Website eingebettet, und es findet keine automatische Datenübertragung an Google statt, solange Sie den Link nicht anklicken.

Wir binden Schriftarten (Google Fonts) technisch so ein, dass die Schriftdateien beim Build der Website lokal auf unseren eigenen Servern abgelegt werden. Beim Besuch der Website findet dadurch keine Verbindung zu Servern von Google statt.

Kontaktformular

Wenn Sie das Kontaktformular auf der Kontaktseite nutzen, bearbeiten wir folgende Angaben: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, optional Firmenname, optional Strasse und Hausnummer, PLZ und Ort sowie optional eine freie Beschreibung Ihres Anliegens ("Woran sind Sie interessiert?"). Diese Angaben werden per E-Mail an unser Team weitergeleitet, um Ihre Anfrage zu bearbeiten und zu beantworten.

Zum Schutz vor automatisierten Spam-Einsendungen enthält das Formular ein für Sie unsichtbares Zusatzfeld ("Honeypot") sowie eine serverseitige Ratenbegrenzung anhand Ihrer IP-Adresse. Diese IP-Adresse wird dabei nur kurzzeitig im Arbeitsspeicher unseres Servers zur Missbrauchserkennung verwendet und nicht dauerhaft gespeichert.

Über das Kontaktformular werden keine Dateien oder Dokumente übermittelt. Für die sichere Übermittlung von Steuer- und Buchhaltungsunterlagen steht ausschliesslich das persönliche Kundenportal zur Verfügung (siehe Ziffer 4).

Rechtsgrundlage ist die Erfüllung vorvertraglicher Massnahmen bzw. unser berechtigtes Interesse an der Bearbeitung von Anfragen an uns.

Zugang nur auf Einladung

Das Kundenportal ist kein öffentliches Anmeldeformular. Zugang erhalten ausschliesslich Personen, die von einer Mitarbeiterin oder einem Mitarbeiter der Pro Finance GmbH persönlich mit ihrer E-Mail-Adresse eingeladen wurden. Eine eigenständige Registrierung ist nicht möglich.

Anmeldung

Kundinnen und Kunden melden sich ohne Passwort an: Bei jeder Anmeldung wird ein einmaliger, 10 Minuten gültiger Zahlencode per E-Mail an die hinterlegte Adresse gesendet. Dieser Code wird ausschliesslich als kryptografischer Hashwert gespeichert, nie im Klartext, und ist nach einmaliger Verwendung ungültig.

Mitarbeitende der Pro Finance GmbH (Administratorenkonten) melden sich mit Passwort und zusätzlich mit einem zeitbasierten Bestätigungscode aus einer Authenticator-App an (Zwei-Faktor-Authentisierung). Passwörter werden ausschliesslich als Hashwert (Argon2id) gespeichert; die Geheimnisse für die Zwei-Faktor-Authentisierung werden verschlüsselt abgelegt.

Zur Absicherung der Anmeldung protokollieren wir erfolgreiche und fehlgeschlagene Anmeldeversuche inklusive Zeitpunkt, IP-Adresse und Benutzerkonto, und begrenzen die Anzahl möglicher Versuche pro E-Mail-Adresse und IP-Adresse. Weder Einmalcodes noch Passwörter noch die genannten Zwei-Faktor-Geheimnisse werden jemals in diesen Protokollen gespeichert.

Die Anmeldung selbst erfolgt über ein Sitzungs-Cookie, das technisch notwendig ist, um Sie während Ihres Besuchs im Portal angemeldet zu halten ("Session-Cookie"). Es dient ausschliesslich der Authentisierung, nicht der Analyse oder Werbung, und wird nur so lange gespeichert, wie Ihre Sitzung aktiv ist.

Persönlicher Fragebogen

Nach der ersten Anmeldung bitten wir Sie, einen mehrstufigen Fragebogen auszufüllen. Damit ermitteln wir, welche Unterlagen für Ihre Steuererklärung bzw. Buchhaltung tatsächlich relevant sind, statt pauschal eine allgemeine Liste anzufordern.

Dabei bearbeiten wir je nach Ihren Angaben unter anderem: Vor- und Nachname, Geburtsdatum, Wohnadresse, Zivilstand und gegebenenfalls Name, Geburtsdatum, Erwerbsstatus, Arbeitgeber und Wohnsituation der Ehepartnerin bzw. des Ehepartners oder der eingetragenen Partnerin bzw. des eingetragenen Partners (bei Ehepaaren bzw. eingetragenen Partnerschaften werden diese Angaben für beide Personen einzeln erhoben), Angaben zu Kindern (Vorname, Nachname, Geburtsdatum), Erwerbsstatus und Beschäftigungsgrad, Art des Arbeitswegs, Angaben zu Fahrzeugen (Eigentum oder Leasing, Marke/Modell, Kaufpreis), Wohnsituation (Miete oder Wohneigentum, gegebenenfalls Hypothek) sowie ergänzende Angaben zu Kinderbetreuungskosten, Säule-3a-Einzahlungen, Pensionskasseneinkäufen und Schulden.

Diese Angaben zählen teils zu besonders schützenswerten Personendaten (z. B. Angaben zu Kindern). Wir bearbeiten sie ausschliesslich zur Erbringung unserer treuhänderischen Dienstleistungen gegenüber Ihnen und geben sie nicht zu anderen Zwecken weiter.

Eine Änderung Ihres Namens im Fragebogen kann dazu führen, dass wir den Namen Ihres persönlichen Ablageordners in unserem Dokumentenarchiv (siehe Ziffer 4, Dokumenten-Upload) entsprechend anpassen, damit unsere Mitarbeitenden Ihre Unterlagen weiterhin klar zuordnen können.

Dokumenten-Upload

Im Kundenportal können Sie die für Sie angeforderten Unterlagen als PDF-Datei hochladen (maximal 15 MB pro Datei). Jede hochgeladene Datei wird auf Übereinstimmung von Dateiendung und tatsächlichem Dateityp geprüft, bevor sie gespeichert wird.

Auf mobilen Geräten können Sie Papierdokumente alternativ direkt mit der Kamera Ihres Geräts fotografieren und daraus PDF-Dateien erstellen lassen. Die Fotos werden ausschliesslich lokal in Ihrem Browser verarbeitet: aus jedem aufgenommenen Foto wird dort eine einzelne PDF-Datei erzeugt. Einzelne Fotos werden nicht gespeichert oder an uns übertragen, sondern nur die fertigen PDF-Dateien durchlaufen den regulären Upload gemäss dieser Ziffer. Der Kamerazugriff erfolgt erst, nachdem Sie dies in der Anwendung ausdrücklich bestätigt haben, und wird zusätzlich von Ihrem Betriebssystem bzw. Browser abgefragt.

Die Dateien werden nicht auf unserem Webserver, sondern in einem separaten, dediziert für uns eingerichteten Ablagesystem gespeichert (siehe Ziffer 5). Jede Kundin bzw. jeder Kunde erhält dort einen eigenen Ordner mit thematisch sortierten Unterordnern entsprechend den Kategorien des Fragebogens.

Ihre Dokumente sind nicht öffentlich zugänglich und nicht über einen dauerhaften Link erreichbar. Der Zugriff (Herunterladen, Ansehen) erfolgt ausschliesslich serverseitig nach erneuter Prüfung, ob Sie oder eine berechtigte Administratorin bzw. ein berechtigter Administrator zugriffsberechtigt sind, über einen kurzlebigen, kryptografisch signierten Link, der nur für einen einzelnen Abruf und wenige Minuten gültig ist.

Administratorinnen und Administratoren der Pro Finance GmbH sehen und bearbeiten ausschliesslich die Dokumente der ihnen zugänglichen Kundinnen und Kunden im Rahmen ihrer beruflichen Tätigkeit; jede Ansicht und jeder Status-Wechsel (z. B. "geprüft", "genehmigt") wird intern protokolliert.

Zusätzlich können Administratorinnen und Administratoren in einem separaten Bereich ("Rechnungen") Abrechnungen bzw. Zahlungsübersichten für Sie hinterlegen, damit Sie jederzeit nachvollziehen können, was Sie in einem bestimmten Steuerjahr bezahlt haben. Diese Unterlagen werden von uns erstellt bzw. hochgeladen, nicht von Ihnen, unterliegen aber denselben Zugriffs- und Sicherheitsmassnahmen wie alle übrigen Dokumente.

Übersicht

Wir setzen für den Betrieb der Website und des Kundenportals sorgfältig ausgewählte technische Dienstleister ein. Diese bearbeiten Personendaten ausschliesslich in unserem Auftrag und nach unseren Weisungen; sie dürfen die Daten nicht für eigene Zwecke verwenden.

Vercel Inc. (Website- und Anwendungs-Hosting)

Anbieter: Vercel Inc., USA. Zweck: Betrieb der Website und der serverseitigen Anwendungslogik des Kundenportals (z. B. Anmeldung, Formularverarbeitung).

Vercel verarbeitet dabei technische Zugriffsdaten (siehe Ziffer 3). Vercel nimmt nach eigenen Angaben am Swiss-U.S. Data Privacy Framework teil, einem vom Schweizer Bundesrat als angemessenes Schutzniveau anerkannten Mechanismus für Datenübermittlungen in die USA.

Supabase Inc. (Datenbank und Profilbilder)

Anbieter: Supabase Inc., USA. Zweck: Speicherung der Kontodaten, Fragebogenantworten, Dokumenten-Metadaten (nicht der Dokumente selbst, siehe unten) sowie optionaler Profilbilder.

Die eigentlichen Daten werden dabei auf einer Datenbankinstanz in einem Rechenzentrum in Irland (EU, Amazon-Web-Services-Region eu-west-1) gespeichert. Supabase Inc. als Anbieterin ist ein US-Unternehmen und stützt Datenübermittlungen nach eigenen Angaben auf Standardvertragsklauseln der EU-Kommission.

Swisscloudhosting / Nextcloud (Steuer- und Buchhaltungsunterlagen)

Anbieter: Swisscloudhosting. Zweck: Sichere Ablage der im Kundenportal hochgeladenen Dokumente (siehe Ziffer 4).

Nach Angaben des Anbieters werden die Daten in der Schweiz gespeichert. Diese Angabe stützt sich auf die eigene Darstellung des Anbieters; einen entsprechenden Vertrag über die Auftragsbearbeitung schliessen wir direkt mit Swisscloudhosting ab.

Resend (Plus Five Five, Inc.) — E-Mail-Versand

Anbieter: Plus Five Five, Inc. ("Resend"), USA. Zweck: Versand von Kontaktformular-Benachrichtigungen, Einladungs-E-Mails und Anmeldecodes für das Kundenportal.

Resend verarbeitet dabei die E-Mail-Adresse und den Namen der Empfängerin bzw. des Empfängers sowie den jeweiligen E-Mail-Inhalt zum Zweck der Zustellung. Nach Angaben von Resend erfolgt die Verarbeitung in den USA. Weitere Angaben finden Sie in der Datenschutzerklärung von Resend unter resend.com/legal/privacy-policy.

Weitergabe an Behörden

Eine Weitergabe von Personendaten an Steuerbehörden oder andere Behörden erfolgt ausschliesslich, soweit dies zur Erbringung unserer treuhänderischen Dienstleistungen für Sie erforderlich ist oder wir gesetzlich dazu verpflichtet sind.

Grundsatz

Wir bearbeiten und speichern Ihre Personendaten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist, insbesondere für die Dauer unserer Geschäftsbeziehung mit Ihnen.

Für Unterlagen im Zusammenhang mit Buchhaltung und Steuern können gesetzliche Aufbewahrungspflichten gelten (namentlich die zehnjährige Aufbewahrungsfrist für Geschäftsunterlagen nach Art. 958f des Obligationenrechts). Solche gesetzlichen Fristen gehen einem Löschungsersuchen vor.

Kontaktformular-Anfragen ohne anschliessende Geschäftsbeziehung werden gelöscht, sobald die Anfrage abschliessend bearbeitet ist, sofern keine weitergehende Aufbewahrung erforderlich ist.

Technische und organisatorische Massnahmen

Die Übertragung sämtlicher Daten zwischen Ihrem Gerät und unseren Servern erfolgt verschlüsselt (TLS/HTTPS). Eine verschlüsselte Verbindung erkennen Sie am "https://" in der Adresszeile Ihres Browsers.

Passwörter von Administratorenkonten werden ausschliesslich als Hashwert (Argon2id) gespeichert, nie im Klartext. Geheimnisse für die Zwei-Faktor-Authentisierung werden verschlüsselt abgelegt. Einmalcodes für die Kundenanmeldung sind einmalig verwendbar, zeitlich befristet und ebenfalls nur als Hashwert gespeichert.

Dokumente sind nie über einen öffentlichen oder dauerhaften Link erreichbar, sondern ausschliesslich über kurzlebige, individuell signierte Zugriffslinks nach erneuter Berechtigungsprüfung.

Trotz dieser Massnahmen weisen wir darauf hin, dass die Datenübertragung im Internet grundsätzlich Sicherheitslücken aufweisen kann und ein lückenloser Schutz vor unbefugtem Zugriff durch Dritte technisch nicht zugesichert werden kann.

Eingesetzte Cookies

Auf der öffentlichen Website setzen wir keine Cookies zu Analyse-, Marketing- oder Trackingzwecken ein.

Im Kundenportal verwenden wir ein einzelnes, technisch notwendiges Sitzungs-Cookie, das Ihre Anmeldung während des Besuchs aufrechterhält. Ohne dieses Cookie ist eine Nutzung des Kundenportals nicht möglich. Es wird beim Schliessen der Sitzung bzw. nach Ablauf ungültig.

Zusammenfassung

Wie in Ziffer 5 im Detail beschrieben, werden Personendaten teilweise durch Dienstleister mit Sitz in den USA bearbeitet (Vercel, Supabase, Resend) sowie durch einen Anbieter mit Sitz und Rechenzentrum in der Schweiz (Swisscloudhosting/Nextcloud für Ihre Dokumente). Die Datenbank selbst wird technisch in einem Rechenzentrum in Irland (EU) betrieben.

Die Schweiz erkennt die EU/den EWR als Staaten mit angemessenem Datenschutzniveau an. Für Übermittlungen in die USA stützen wir uns, soweit anwendbar, auf das Swiss-U.S. Data Privacy Framework bzw. von der EU-Kommission genehmigte Standardvertragsklauseln der jeweiligen Anbieter.

Auskunft, Berichtigung, Löschung

Nach dem revDSG haben Sie insbesondere folgende Rechte: Recht auf Auskunft darüber, ob und welche Personendaten wir über Sie bearbeiten; Recht auf Berichtigung unrichtiger Daten; Recht auf Löschung oder Einschränkung der Bearbeitung, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; Recht auf Herausgabe bzw. Übertragung Ihrer Daten in einem gängigen elektronischen Format; Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen.

Zur Ausübung dieser Rechte wenden Sie sich bitte an die in Ziffer 2 genannten Kontaktdaten. Wir werden Ihre Identität in geeigneter Weise überprüfen, bevor wir Auskunft erteilen, um Ihre Daten vor unbefugten Anfragen Dritter zu schützen.

Zuständige Behörde

Wenn Sie der Ansicht sind, dass die Bearbeitung Ihrer Personendaten gegen das Datenschutzrecht verstösst, können Sie sich beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) beschweren:

EDÖB, Feldeggweg 1, 3003 Bern, Schweiz www.edoeb.admin.ch

Personen mit Wohnsitz in der EU/im EWR können sich zusätzlich an die für sie zuständige lokale Datenschutzbehörde wenden, soweit die DSGVO auf die betreffende Bearbeitung Anwendung findet.

Aktualität

Wir passen diese Datenschutzerklärung an, sobald sich unsere Datenbearbeitung oder die geltende Rechtslage ändert, zum Beispiel bei Einführung neuer Funktionen im Kundenportal. Es gilt jeweils die auf dieser Seite veröffentlichte, aktuelle Fassung.

Stand dieser Erklärung: siehe Datum der letzten Veröffentlichung.